{"id":184011,"date":"2026-10-27T11:40:44","date_gmt":"2026-10-27T09:40:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/uyazvimosti-v-rust-bibliotekah-zip-rs-i-librsvg"},"modified":"2026-10-27T11:40:49","modified_gmt":"2026-10-27T09:40:49","slug":"vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/vulnerabilities-in-rust-libraries-zip-rs-and-librsvg","title":{"rendered":"Ranljivosti v Rust knji\u017enicah zip-rs in librsvg","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
V knji\u017enici zip-rs, napisani v jeziku Rust in z okoli 10 milijoni prenosi na teden, je bila odkrita ranljivost (CVE-2026-115905), ki omogo\u010da ustvarjanje arhivov, ki izgledajo nedol\u017eno, vendar pri razpakiranju iz njih izvle\u010dejo druge, prvotno nevidne datoteke. Datoteke so lahko postavljene v arhiv zunaj strukture «Central Directory», zaradi \u010desar se pri ogledu seznama datotek prika\u017ee en sklop vsebine, medtem ko se pri razpakiranju preko API-ja ZipStreamReader izvle\u010dejo druge datoteke. Problem je bil ozna\u010den z oceno nevarnosti 10 od 10. Ranljivost je bila odpravljena v razli\u010dici zip-rs 9.0.5.<\/p>\n
Ranljivost je povzro\u010dena z uporabo razli\u010dnih glav pri naklju\u010dnem dostopu do arhiva preko API-ja ZipArchive in pri izvleku podatkov v stream mode preko API-ja ZipStreamReader. Obdelovalec ZipArchive se opira na glavo CDFH (Central Directory File Header), medtem ko ZipStreamReader pri izvleku datotek \u0161teje glavo LFH (Local File Header) za bolj prioritetno brez sinhronizacije podvojenih metapodatkov.<\/p>\n
Ranljivost se lahko izkoristi za zaobvodenje e-po\u0161tnih filtrov, antivirusnih skenerjev in drugih sistemov za preverjanje varnosti. Napadalec lahko v vidni del arhiva postavi dokument ali sliko, v skriti del pa izvr\u0161ilno datoteko z zlonamernim kodom, ki bo ostala neopa\u017eena s strani antivirusnih programov, vendar bo shranjena na disk ob razpakiranju s strani uporabnika. Kot primeri se navajajo napadi na mikroservise, SaaS-platforme in sisteme vsebinske izolacije, kjer lahko ob razpakiranju v mapah z delovnimi projekti, ki ne predstavljajo nevarnosti, arhivi, na primer s stili, besedilnimi datotekami ali slikami, prepi\u0161ejo skripte in izvr\u0161ilne datoteke.<\/p>\n
Dodatno se mo\u017ee primetiti ranjivost (CVE-2026-96889) u biblioteci librsvg, koju razvija projekat GNOME na jeziku Rust. Biblioteka se koristi u GTK i GNOME aplikacijama za renderovanje SVG, kao i u popularnom NPM paketu sharp, koji bele\u017ei 80 miliona preuzimanja nedeljno i koristi se kao zavisnost u skoro 11 hiljada projekata. Ranjivost omogu\u0107ava izvo\u0111enje vlastitog koda prilikom obrade posebno oblikovanih SVG slika. Problem je re\u0161en u verzijama librsvg 2.56.6, 2.60.3, 2.62.4 i 2.63.1, kao i u NPM paketu sharp 0.35.5. Me\u0111u pogo\u0111enim projektima na\u0161la se platforma PeerTube (zavisnost je a\u017eurirana u dana\u0161njem izdanju PeerTube 8.3.2).<\/p>\n
Za analizu XML ozna\u010davanja kori\u0161\u0107enog u SVG datotekama, librsvg koristi funkcije iz C biblioteke libxml2. Ranjivost je izazvana time \u0161to, kada u SVG-u postoje ugnje\u017edene XML strukture Xincludes koje uklju\u010duju duplicirane elemente sa ponovljenim imenima, dolazi do pristupa memoriji nakon njenog osloba\u0111anja. Gre\u0161ka se javlja jer biblioteka librsvg osloba\u0111a memoriju za XML elemente koji se jo\u0161 uvek koriste u parseru libxml2. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"